MTA-STS (SMTP MTA Strict Transport Security) ermöglicht es einer Domain, eine Richtlinie zu veröffentlichen, die vorschreibt, dass an sie zugestellte E-Mails über eine verschlüsselte Verbindung zu einem ordnungsgemäß zertifizierten Server übertragen werden müssen, sodass ein Netzwerkangreifer die Verbindung nicht unbemerkt auf Klartext herabstufen kann.
Das Problem, das damit gelöst wird
E-Mail-Server verschlüsseln ihre Verbindungen untereinander situationsabhängig: Bietet der empfangende Server TLS an, nutzt der Absender dieses Protokoll; ist dies nicht der Fall oder wird das Angebot durch eine Zwischeninstanz unterbunden, kommuniziert der Absender weiterhin im Klartext. Ein im Netzwerk positionierter Angreifer kann dies ausnutzen, ohne dass eine der beiden Seiten dies bemerkt.
So funktioniert es
Die Domain veröffentlicht einen kleinen TXT-Eintrag unter _mta-sts.yourdomain, in dem eine Richtlinie angekündigt wird, und stellt die Richtlinie selbst über HTTPS unter https://mta-sts.yourdomain/.well-known/mta-sts.txt bereit. Die Richtlinie listet die legitimen E-Mail-Hosts der Domain sowie einen Modus auf. Ein sendender Server, der MTA-STS unterstützt, ruft diese Richtlinie ab und verweigert im „enforce“-Modus die Zustellung, sofern er keine TLS-Verbindung mit einem gültigen Zertifikat zu einem der aufgeführten Hosts herstellen kann. Der Standard ist RFC 8461.
- „
testing“ – Probleme melden, aber dennoch zustellen. - „
enforce“ – keine Zustellung über eine Verbindung, die die Richtlinie nicht erfüllt. none– eine vorherige Richtlinie widerrufen.
Das dazugehörige TLS-Reporting (TLS-RPT) ist ein TXT-Eintrag unter „_smtp._tls.yourdomain“, der eine Adresse für Berichte über fehlgeschlagene Verbindungen angibt – so erfahren Sie, wenn etwas nicht funktioniert, anstatt zu raten.
So überprüfen Sie eine Domain
curl https://mta-sts.yourdomain.com/.well-known/mta-sts.txtMTA-STS bei Mailotte
mailotte.com veröffentlicht eine MTA-STS-Richtlinie im Modus „enforce“, in der beide Mail-Hosts aufgeführt sind, sowie einen TLS-RPT-Eintrag. Sie können die Richtlinie selbst unter https://mta-sts.mailotte.com/.well-known/mta-sts.txt einsehen. Weitere Informationen zur Absicherung des restlichen Dienstes finden Sie auf der Sicherheitsseite.
Fragen
Ist MTA-STS dasselbe wie End-to-End-Verschlüsselung?
Nein. Es schützt E-Mails während der Übertragung zwischen Servern. Die Server an beiden Enden können den Inhalt weiterhin lesen.
Sollte ich im „Enforce“-Modus beginnen?
Beginnen Sie im Testmodus mit aktivierter TLS-Berichterstattung, vergewissern Sie sich, dass keine Fehler auftreten, und wechseln Sie dann in den Durchsetzungsmodus.
Unterstützt jeder sendende Server MTA-STS?
Nein – MTA-STS schützt nur E-Mails, die von Servern gesendet werden, die diese Funktion implementieren. E-Mails von Servern, die dies nicht tun, werden so zugestellt, wie es ohne die Richtlinie der Fall gewesen wäre.
Verwandte Begriffe
- DKIM – DomainKeys Identified Mail
- MX-Eintrag – Mail Exchanger-Eintrag
- DMARC – Domain-basierte Nachrichtenauthentifizierung, Berichterstattung und Konformität
- Alle Begriffe